Політика конфіденційності

Ст. 6(1)(b) — обробка, необхідна, щоб на ваш запит вчинити дії до укладення договору. Ст. 6(1)(f) — наш легітимний інтерес, зважений проти ваших прав і свобод. Ст. 5(2) — принцип підзвітності, який вимагає від нас бути здатними показати, що ми зробили і чому. Ст. 6(1)(a) — ваша згода, яку можна будь-коли відкликати. Ст. 7(1) — обовʼязок могти показати, що згоду отримано.

Контактна форма ніколи не питає дату народження, ідентифікаційний код чи документи. Форма замовлення питає поштову адресу. Лише анкета за персональним посиланням питає дату народження, номери документів, громадянство, податкову резидентність і документи — бо цього вимагає закон про запобігання відмиванню коштів. Жодна форма на цьому сайті не питає український РНОКПП, IBAN чи дані картки. Мінімізація — це і вимога закону, і найдешевший з усіх контроль безпеки: дані, яких у нас немає, не можуть витекти. Адреса й імʼя також показуються у внутрішньому перегляді «Контакти» (власник і бухгалтер) — щоб нікому не надіслали листа без підстави; без вивантаження.

Форма замовлення — це крок, яким ви просите про нашу послугу. Її підстава — ст. 6(1)(b): ці дані потрібні, щоб підготувати договір і рахунок. Її позначка згоди — доказ того, що вам показали, так само як на контактній формі. Платите ви одразу після замовлення, на сторінці monobank (розділ «Оплати й підписки»), а посилання на анкету приходить, щойно надійде оплата.

Анкета має дві частини: про компанію і про вас особисто. Як бухгалтерська фірма ми — зобовʼязана особа за естонським Законом про запобігання відмиванню грошей і фінансуванню тероризму, який вимагає встановити особу клієнта й людей, що стоять за ним, і оцінити ризик ще до початку співпраці. Це ст. 6(1)(c) — юридичний обовʼязок. Якщо ви не надасте цих даних, ми не зможемо взяти вас на обслуговування.

Одне питання потребує додаткової підстави: чи є ви або хтось із близьких вам людей політично значущою особою (PEP). Відповідь може розкрити політичні погляди, а GDPR відносить їх до особливої категорії даних, тож для цієї відповіді ми додатково спираємося на ст. 9(2)(g) — суттєвий суспільний інтерес, визначений тим самим законом.

Відповіді й документи з анкети використовуються лише для двох речей: наших обовʼязків проти відмивання коштів і договору з вами. Вони ніколи не копіюються до списку звернень, не використовуються для маркетингу і не потрапляють у статистику сайту; форма замовлення й анкета взагалі не завантажують Google Analytics.

Ст. 6(1)(c) — обробка, необхідна для виконання юридичного обовʼязку, який на нас покладено; тут — естонського Закону про запобігання відмиванню грошей і фінансуванню тероризму. Ст. 9(2)(g) — обробка даних особливої категорії, необхідна з міркувань суттєвого суспільного інтересу на підставі закону. «(b), (c)» означає, що діють обидві. Ст. 6(1)(b), 6(1)(f) і 5(2) пояснено вище, у розділі про контактну форму.

Картка клієнта ніколи не містить копії паспорта, номера документа чи особистого ідентифікаційного коду — вони лишаються в анкеті, за її власними правилами. Дані самої компанії зберігаються ще 7 років після кінця року, у якому завершилася наша співпраця; контактні особи видаляються через 12 місяців після завершення співпраці. Якщо ви попросите стерти ваші дані, ваші контакти одразу прибирають із картки; дані самої компанії лишаються на свій строк, і ми вам про це скажемо. Адреса й імʼя також показуються у внутрішньому перегляді «Контакти» (власник і бухгалтер) — щоб нікому не надіслали листа без підстави; без вивантаження.

Форма, відкрита в інтернет, — це мішень. Без захисту вона заповнюється машинними сабмітами, а ці сабміти несуть справжні імена й адреси інших людей — персональні дані, збирати які в нас не було жодної причини. Тому захист форм — це насамперед захід захисту даних і лише потім операційний захід.

Ваша IP-адреса ніколи не записується в нашу базу. Коли надходить сабміт, адреса поєднується з секретом і з поточною датою й проганяється через SHA-256, і зберігається тільки цей хеш. Складник дати означає, що сіль змінюється щодня: хеш, записаний учора, не можна зіставити із записаним сьогодні, а збережені значення не можна обернути назад, перебравши весь адресний простір. Те саме робиться з рядком user-agent вашого браузера.

Обидва хеші стираються через 30 днів після запису завданням, яке виконується щоночі. Сам запит чи замовлення лишається на строк, указаний у таблиці зберігання нижче; ідентифікатори — ні.

Cloudflare Turnstile працює на контактній формі, на формі замовлення, на сторінці, де просять нове посилання на анкету, і на сторінці підписки на розсилку. Він перевіряє, чи поводиться браузер як браузер. Він не ставить рекламних ідентифікаторів і не використовується, щоб стежити за вами між сайтами. Завантаження віджета все ж означає, що Cloudflare бачить вашу IP-адресу і деякі технічні сигнали браузера — у власній якості постачальника цієї послуги. Ще дві перевірки на кожній із цих сторінок відбуваються непомітно: приховане поле, якого жодна людина не бачить, і підписана мітка часу, що виявляє форму, заповнену швидше, ніж людина встигла б її прочитати. Є також обмеження на кількість сабмітів з однієї адреси за хвилину і на кількість сабмітів з однією й тією самою поштовою адресою за добу. Анкета за персональним посиланням має власні обмеження: на кількість запитів за хвилину, збережень за добу, а також на кількість і загальний розмір завантажень; а посилання на запит надсилається листом щонайбільше раз на десять хвилин. Коли ви просите нове посилання на сайті, введену адресу ми використовуємо лише для пошуку вашої анкети; щоб рахувати запити для однієї адреси, ми 48 годин зберігаємо її односторонній хеш із секретним ключем, а не саму адресу. Якщо ми надсилаємо чи пробуємо надіслати нове посилання, наш журнал дій записує запит до цієї анкети разом із хешем із сіллю від IP-адреси, з якої він надійшов, — хоч би хто його зробив; хеш стирається через 30 днів. Якщо ми надсилаємо коротке автоматичне повідомлення, що звернення дійшло, ми 48 годин зберігаємо односторонні хеші із секретним ключем від вашої поштової адреси й від мережевої частини IP-адреси — а не саму адресу, — щоб на одну адресу воно йшло щонайбільше раз на добу, а в одну мережу — лише кілька разів.

Якщо перевірка проти зловживань відхиляє сабміт, нічого не зберігається. Щоб не підказувати автоматизованим інструментам, яка саме перевірка їх упіймала, сторінка при цьому може показати, що все надіслано. Тому якщо ви не отримали від нас відповіді протягом одного робочого дня — напишіть на загальну адресу вище: вона завжди доходить до людини.

Автоматична обробка і її межі

Одна автоматична перевірка читає текст вашого повідомлення на предмет ознак спаму: кілька посилань, вбудована розмітка, посилання, писемність якого не збігається з навколишнім текстом. Повідомлення, що підпадає під ознаки, не відхиляється. Його позначають, відкладають і видаляють через 30 днів, а не тримають рік — бо класифіковане машиною повідомлення містить справжні дані когось живого, збирати які в нас не було причини.

Це єдина автоматична оцінка того, що ви пишете. В анкеті наш адмінський екран виділяє деякі відповіді — «Так» на питання про PEP чи санкції, сектор підвищеного ризику, — щоб їх не пропустили; це підказка для людини, а не оцінка. Ніщо тут не ухвалює щодо вас рішення, яке породжує юридичні наслідки або подібним чином суттєво на вас впливає у розумінні ст. 22: чи взяти клієнта, вирішують наші працівники, які оцінюють ризик відмивання коштів так, як вимагає закон. Немає жодного автоматичного скорингу, жодного профайлінгу для маркетингу і жодної рекламної аудиторії, побудованої з того, що ви нам надсилаєте. Статистика розсилки — це лише підсумки по випуску: їх ніколи не використовують, щоб складати чийсь профіль чи ділити список. Якщо фільтр колись помилково відкладе ваше повідомлення, пряма поштова адреса на сторінці контактів обходить його повністю.

Усе, що зберігає сам сайт, лежить у Європейському Союзі. І база даних, і обʼєктні сховища — зокрема те, де лежать документи, що посвідчують особу, — створені з параметром юрисдикції ЄС Cloudflare, який обирається один раз, при створенні, і не може бути доданий до вже наявного ресурсу згодом. Записи, зроблені цим сайтом, лишаються всередині цієї межі.

Виконання коду — інше питання, і саме його більшість політик оминає. Код, який формує сторінку або приймає надіслану форму чи завантажений документ, виконується в тому дата-центрі Cloudflare, який найближчий до людини, що робить запит. Якщо ви відкриваєте цей сайт поза ЄС, код, що обробляє ваш запит, виконується там, і вміст цього запиту проходить крізь нього, перш ніж бути записаним у сховище в ЄС. Обмеження виконання одним регіоном — це можливість enterprise-рівня, якої в нас немає.

Ми краще скажемо це прямо, ніж рекламуватимемо гарантію, якої не можемо дотримати. Там, де дані в такий спосіб залишають ЄЕП, вони покриті Стандартними договірними положеннями в додатку Cloudflare про обробку даних.

З того, що надсилає сам сайт, межі ЄС можуть залишати чотири речі. Перша — статистика. Якщо ви її дозволили, дані обробляє Google, зокрема в Сполучених Штатах. Ця передача ґрунтується на Рамковій програмі захисту даних ЄС–США — рішенні Європейської Комісії про адекватність від 10 липня 2023 року, — за якою сертифікована Google LLC; там, де вона не застосовується, Google спирається на Стандартні договірні положення. Якщо ви відмовилися, статистика до Google не надсилається взагалі. Друга — пошта: коди й посилання, які сайт вам надсилає, його сповіщення нашій команді і — для тих, хто не ставив галочку «статистика», — розсилка йдуть через нашу скриньку в Google Workspace, описану вище, — за тією самою Рамковою програмою або за Стандартними договірними положеннями. Третя — необовʼязкова статистика розсилки. Brevo, французька компанія, зберігає дані у Франції та Бельгії, але працівники компаній її групи в США та Індії можуть мати до них доступ для обслуговування й підтримки клієнтів — у США за Рамковою програмою захисту даних ЄС–США або за Стандартними договірними положеннями, в Індії за Стандартними договірними положеннями, — а двоє її постачальників, Cloudflare і Zendesk, можуть обробляти дані й у США. Якщо ви не ставите галочку «статистика», до Brevo не потрапляє нічого. Четверта — оплата карткою. monobank працює в Україні, поза Європейською економічною зоною, а рішення Європейської Комісії про адекватність щодо України немає; те, що ми йому надсилаємо, — номер і призначення рахунку, суму й, для тарифу, ідентифікатор, під яким він зберігає вашу картку, — іде туди тому, що ви вирішили оплатити карткою: це потрібно для договору, який ви просили укласти (ст. 49(1)(b) GDPR). Дані картки, які ви вводите на його сторінці, потрапляють до банку напряму. Окремо від сайту: якщо ви обираєте Telegram чи WhatsApp для нашої відповіді, ми пишемо вам там, і цей сервіс переносить розмову за власними умовами, можливо, поза ЄС, — це ваш вибір; пошта — варіант за замовчуванням. Рішення про адекватність, на яке ми могли б тут спертися, немає: ми надсилаємо відповідь туди лише тому, що ви про це попросили, — це частина відповіді на ваш запит (ст. 49(1)(b) GDPR).

Для відвідувачів з України: дані, що доходять до нас, обробляються в Європейському Союзі — напрямку, який українське законодавство визнає таким, що забезпечує належний рівень захисту персональних даних. Статистика сайту, якщо ви її дозволили, наша пошта, необовʼязкова статистика розсилки, оплата карткою, яку проводить український банк, і відповідь у месенджері, який ви оберете, — винятки, описані вище; повідомлення про cookie називає США ще до вашої відповіді.

Варто назвати ще одне місце, яке політики зазвичай оминають. Хостинг-платформа веде короткочасний операційний журнал запитів до тих частин сайту, де виконується код, — помилки та сам факт того, що перевірка на ботів відхилила надсилання. Саме так ми дізнаємося, що щось зламалося. Він не містить ані тексту повідомлень, ані відповідей з анкет, ані документів, ані посилань, ані адрес електронної пошти, зберігається кілька днів і потім знищується, і лежить на платформі того самого провайдера, а не в базі з EU-юрисдикцією, описаній вище.

Це питання, яке рано чи пізно ставить кожен естонський бухгалтерський клієнт, тож ось відповідь ще до того, як вам довелося його поставити.

Якщо ви до нас зверталися і клієнтом не стали, стирання просте. Ваш запит видаляється повністю, разом з усім, що до нього привʼязано. Ніщо не зобовʼязує нас його тримати — тож ніщо його й не тримає.

Анкета підпадає під ту саму логіку. Якщо ви її так і не надіслали, на вашу вимогу вона видаляється разом із завантаженими документами. Якщо ви надіслали частину — байдуже, чи ми ще ухвалюємо рішення, чи вже відхилили її, — запит спершу переглядає людина: зазвичай анкету видаляють, але якщо ми спиралися на неї, виконуючи обовʼязок проти відмивання коштів, вона зберігається на строк, наведений нижче, і ми вам про це скажемо. Анкета клієнта і відхилена анкета, яку ми зобовʼязані зберігати, лишаються на свої строки.

Якщо ви стали клієнтом, частину ваших даних не можна стерти на вимогу. Естонське законодавство вимагає зберігати первинні бухгалтерські документи 7 років (Закон про бухгалтерський облік § 12), а ідентифікаційні дані, зібрані за правилами проти відмивання коштів, — 5 років після завершення ділових відносин (RahaPTS § 47(1)). Ст. 17(3)(b) GDPR прямо каже, що право на стирання не застосовується там, де обробка необхідна для виконання юридичного обовʼязку за правом Союзу або держави-члена. Ці два обовʼязки — рівно той випадок.

Те, що ми робимо натомість, вужче за відмову. Усе, що закон не змушує нас тримати, видаляється. Усе, що змушує, виживає з вилученою з нього людиною там, де це можливо: запис у регістрі лишається, а ідентифікаційні деталі навколо нього замінюються незворотною позначкою. І ми кажемо вам, що саме з двох сталося і чому, а не звітуємо про виконання запиту, поки дані ще на місці.

Якщо ви — контактна особа компанії-клієнта, стирання одразу прибирає ваше імʼя й контакти з нашої картки клієнта; картка самої компанії зберігається свій строк.

Якщо у вас є підписка, стирання одразу її завершує: більше нічого не списується, а збережену картку видалено в банку. Рахунки й запис про підписку зберігаються свій бухгалтерський строк, бо цього вимагає закон; копія ваших даних їх містить.

Якщо ви підписалися на розсилку, стирання одразу припиняє підписку і, якщо ви ставили галочку «статистика», видаляє ваш контакт у Brevo. Лишається те, що доводить, що ми поважали ваш вибір: односторонній відбиток, який не дає нам надіслати вам знову, і запис про вашу згоду — без вашої адреси, лише її відбиток — на строк із розділу «Скільки ми що зберігаємо», щоб ми могли довести згоду, якщо надійде скарга на випуск, який ви отримали.

Запис також може бути поставлений під явне утримання — бо він є предметом спору, аудиту чи офіційного запиту. Утримання може охоплювати все, що ми тримаємо за однією поштовою адресою, — або, для того, хто звертався до нас лише телефоном, те, що ми тримаємо за його номером, — або одну анкету чи картку клієнта — наприклад, ту, про яку запитав державний орган; їх ставлять і знімають окремо, тож зняття одного ніколи не знімає іншого. Анкета може бути під утриманням для двох людей одразу — скажімо, того, хто оформив замовлення, і того, хто заповнив особисту частину, — і зняття утримання однієї людини лишає утримання іншої. Будь-яке з них зупиняє і планове видалення, і стирання, доки його не знято. Утримання картки клієнта також зберігає від планового видалення контактних осіб цієї картки і привʼязані запити, поки діє. Утримання однієї людини зберігає її власні контакти, запити й анкету, а також картку клієнта, до якої вона належить, — але не дані інших людей із цієї картки: їх видаляють у звичайний строк. Жодне з них не заважає стерти власні дані контактної особи на її запит, якщо утримання не стоїть і на ній. Поставити чи зняти утримання — це свідома дія конкретної людини, яка фіксується в журналі; виняток — лише утримання, що вже діяли, коли ми почали вести їх в одному реєстрі: їх перенесено туди автоматично, і кожне позначено «до реєстру». Поки воно діє, воно охоплює й те, що ми отримаємо пізніше за тією самою поштовою адресою; утримання за номером телефону охоплює лише пізніші запити й контакти без пошти з цим номером. Якщо саме утримання є причиною, через яку ми не можемо щось стерти, ми про це скажемо і пояснимо, що це за утримання.